4. Cilium Helm Chart 安装：添加仓库、配置参数、部署与验证

本章将完整演示如何通过 Helm 将 Cilium 部署到 Kubernetes 集群。整个过程分为四个阶段：添加官方 Helm 仓库、编写自定义 Values 参数、执行安装命令、以及验证组件运行状态。正确的安装是后续资源配额与性能调优的基础，每一步都需要严谨对待。

4.1 添加 Cilium Helm 仓库

首先添加官方 Helm 仓库并更新索引，确保获取最新的 Chart 版本。

# 添加 Cilium 官方 Helm 仓库
helm repo add cilium https://helm.cilium.io/

# 更新本地仓库缓存
helm repo update

# 验证仓库是否添加成功
helm search repo cilium/cilium --versions | head -5

输出示例：

NAME            CHART VERSION   APP VERSION     DESCRIPTION
cilium/cilium   1.16.5          1.16.5          eBPF-based Networking...
cilium/cilium   1.16.4          1.16.4          eBPF-based Networking...
cilium/cilium   1.15.10         1.15.10         eBPF-based Networking...

4.2 配置 Values 参数

Cilium 的 Helm Chart 提供了超过 300 个可配置参数。以下是一个面向生产环境的 values.yaml 核心配置示例，涵盖网络模式、IPAM、kube-proxy 替换和监控等关键维度。

# cilium-values-prod.yaml
# 全局设置
cluster:
  name: production-cluster
  id: 1

# 网络模式：Overlay (VXLAN)
tunnelProtocol: "vxlan"
routingMode: "tunnel"

# IPAM 模式：Kuberenetes CRD
ipam:
  mode: "kubernetes"

# 替换 kube-proxy
kubeProxyReplacement: "strict"
k8sServiceHost: "10.0.0.100"   # 替换为你的 API Server IP
k8sServicePort: 6443

# 节点间通信加密
encryption:
  enabled: true
  type: "wireguard"

# Hubble 可观测性
hubble:
  enabled: true
  relay:
    enabled: true
  ui:
    enabled: true

# 资源限制（初始值，后续章节会调优）
resources:
  cilium:
    limits:
      cpu: 2
      memory: 4Gi
    requests:
      cpu: 500m
      memory: 1Gi
  operator:
    limits:
      cpu: 1
      memory: 2Gi
    requests:
      cpu: 200m
      memory: 512Mi

4.3 安装 Cilium 到 Kubernetes 集群

使用 helm install 命令执行部署。建议先执行 Dry-Run 验证配置语法，再进行实际安装。

# 步骤 1：Dry-Run 验证（不实际安装）
helm install cilium cilium/cilium \
  --namespace kube-system \
  --values cilium-values-prod.yaml \
  --dry-run --debug > cilium-dryrun.yaml

# 步骤 2：检查生成的 YAML 是否有明显错误
grep -i "error\|invalid\|failed" cilium-dryrun.yaml || echo "语法检查通过"

# 步骤 3：执行实际安装
helm install cilium cilium/cilium \
  --namespace kube-system \
  --values cilium-values-prod.yaml \
  --wait \
  --timeout 10m0s

安装命令参数说明：

• --namespace kube-system：Cilium 组件部署在系统命名空间。
• --wait：等待所有 Pod 进入 Ready 状态后再返回。
• --timeout 10m0s：超时时间，大型集群可能需要更长。

安装成功后，Helm 会输出类似以下信息：

NAME: cilium
LAST DEPLOYED: Tue Jan 14 10:30:00 2025
NAMESPACE: kube-system
STATUS: deployed
REVISION: 1
TEST SUITE: None

4.4 验证安装状态

安装完成后，需要通过多个维度验证 Cilium 是否正常运行。以下是一套完整的验证流程。

4.4.1 检查 Pod 状态

# 查看 Cilium 相关 Pod
kubectl -n kube-system get pods -l k8s-app=cilium

# 预期输出：所有 Pod 均为 Running 状态
NAME               READY   STATUS    RESTARTS   AGE
cilium-abc12       1/1     Running   0          5m
cilium-def34       1/1     Running   0          5m
cilium-operator-0  1/1     Running   0          5m
cilium-operator-1  1/1     Running   0          5m

4.4.2 验证 Cilium Agent 状态

# 在任意节点上执行 cilium status
kubectl -n kube-system exec ds/cilium -- cilium status

# 关键输出指标
KVStore:                Ok   Disabled
Kubernetes:             Ok   1.29 (v1.29.0) [linux/amd64]
Kubernetes APIs:        ["cilium/v2::CiliumEndpoint", "cilium/v2::CiliumNetworkPolicy", ...]
KubeProxyReplacement:   Strict   [eth0 10.0.0.100]
Host Routing:           Legacy
Cilium:                 Ok   1.16.5
NodeMonitor:            Disabled
CiliumHealth:           Ok   

4.4.3 验证 Hubble 可观测性

# 检查 Hubble Relay 状态
kubectl -n kube-system get pods -l k8s-app=hubble-relay

# 启动 Hubble UI 端口转发（可选）
kubectl -n kube-system port-forward svc/hubble-ui 12000:80

# 使用 hubble CLI 检查流量
kubectl -n kube-system exec ds/cilium -- hubble observe --since 1m

4.4.4 端到端连通性测试

# 运行 Cilium 内置连通性测试
kubectl -n kube-system exec ds/cilium -- cilium connectivity test

# 测试内容包括：
# - Pod-to-Pod 通信
# - Pod-to-Service 通信
# - 跨节点通信
# - DNS 解析
# - 网络策略执行

4.5 安装流程总览

下图总结了从仓库配置到验证完成的完整安装流程，以及各阶段的关键检查点。

4.6 常见安装问题与处理